Политика конфиденциальности

Редакция от 14 октября 2026 г. · Предыдущая редакция: 10 июня 2026 г.

Настоящая Политика конфиденциальности (далее — «Политика») описывает порядок обработки персональных данных пользователей сервиса Storello, доступного по адресу https://storello.ru (далее — «Сервис»). Политика разработана в соответствии с Конституцией Российской Федерации, Федеральным законом от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (далее — «ФЗ-152»), иными нормативными правовыми актами Российской Федерации, а также с учётом требований Общего регламента по защите данных Европейского союза (GDPR) — для пользователей, находящихся на территории Европейской экономической зоны.

Используя Сервис, пользователь подтверждает, что ознакомлен с настоящей Политикой и принимает её условия. Если пользователь не согласен с какими-либо положениями Политики, ему следует прекратить использование Сервиса и удалить свою учётную запись.

1. Оператор персональных данных

Оператором, осуществляющим обработку персональных данных в смысле ст. 3 ФЗ-152, является Индивидуальный предприниматель Захаров Никита Юрьевич, ИНН 100130477573, ОГРНИП 322100000019548, адрес регистрации: Россия, г. Петрозаводск, ул. Сортавальская д. 9а, кв. 48.

Ответственное лицо за организацию обработки персональных данных (по ст. 22.1 ФЗ-152): Захаров Никита Юрьевич, адрес электронной почты для обращений субъектов персональных данных: support@storello.ru.

Для пользователей из ЕС функции контактного лица по вопросам защиты персональных данных (Data Protection Contact) исполняет указанный выше адрес электронной почты. Назначение отдельного DPO в смысле ст. 37 GDPR не требуется ввиду масштаба и характера обработки.

2. Термины и определения

Персональные данные — любая информация, относящаяся к прямо или косвенно определённому, либо определяемому физическому лицу (субъекту персональных данных).

Обработка персональных данных — любое действие или совокупность действий, совершаемых с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление и уничтожение.

Пользователь — физическое лицо, прошедшее регистрацию в Сервисе и создавшее учётную запись.

Контент — любые тексты, заголовки, обложки, комментарии и иные материалы, создаваемые или загружаемые пользователем при работе с Сервисом.

3. Категории обрабатываемых данных

Оператор обрабатывает следующие категории персональных данных, в зависимости от того, какими функциями Сервиса пользуется пользователь.

3.1. Учётные данные

Адрес электронной почты, имя или псевдоним, аватар (если предоставлен пользователем), хешированный пароль (алгоритм bcrypt с солью; исходный пароль на серверах оператора не сохраняется). При использовании ключа доступа (passkey) — открытый ключ и идентификатор учётных данных; закрытый ключ никогда не покидает устройство пользователя и оператору не передаётся.

3.1a. Данные специалиста биржи

Если Пользователь размещает анкету на бирже специалистов: имя, город, часовой пояс, сведения об опыте и специализации, описание, портфолио, фотография и указанные им способы связи. Эти сведения Пользователь предоставляет добровольно и по своему усмотрению.

Анкета публикуется в открытом каталоге, то есть становится доступной неопределённому кругу лиц, только после отдельного согласия на распространение персональных данных (ст. 10.1 ФЗ-152). Согласие даётся отдельной отметкой при отправке анкеты на проверку; дата и редакция текста согласия сохраняются. Способы связи (почта, мессенджеры) в открытом каталогене публикуются и показываются только авторизованным пользователям Сервиса.

Пользователь в любой момент может отозвать согласие, сняв анкету с публикации или удалив её в личном кабинете; анкета перестаёт отображаться в каталоге.

3.2. Контент пользователя

Тексты документов, заголовки, обложки, комментарии, история версий, метаданные изменений (даты, идентификатор автора правки). Контент относится к содержимому, добровольно создаваемому пользователем, и не является специальной категорией персональных данных в смысле ст. 10 ФЗ-152, если только сам пользователь не разместит в нём такую информацию по собственной инициативе.

3.3. Технические данные

IP-адрес устройства пользователя, тип и версия браузера, операционная система, идентификатор сессии, временные метки запросов, страницы переходов внутри Сервиса. Эти данные собираются автоматически и используются для обеспечения работы, безопасности и диагностики Сервиса, а также для обезличенной аналитики посещаемости (число визитов и просмотров, приблизительная страна по IP-адресу). Такая аналитика обрабатывается на собственной инфраструктуре Оператора, не передаётся третьим лицам и не использует cookie и сторонние счётчики: посещения считаются на сервере по обезличенному коду, который меняется каждые сутки; IP-адрес при этом не сохраняется.

3.4. Платёжные метаданные

При появлении платных тарифов будут обрабатываться сведения о факте, дате и сумме платежа, а также идентификатор операции от платёжного провайдера. Полные реквизиты банковских карт и иных платёжных инструментов оператором не собираются и не хранятся — их обработка осуществляется сертифицированным платёжным провайдером в соответствии со стандартом PCI DSS.

3.5. Данные обращений в поддержку

Содержание переписки с пользователем, направленной через адрес support@storello.ru или через встроенную форму обратной связи, а также сопутствующие технические данные обращения.

4. Цели обработки

Оператор обрабатывает персональные данные исключительно в следующих целях:

— регистрация и идентификация пользователя в Сервисе;
— предоставление функциональности Сервиса: редактирование, хранение, синхронизация и экспорт документов, совместная работа над документами;
— обеспечение безопасности учётной записи (защита от несанкционированного доступа, расследование инцидентов);
— обработка обращений пользователя в службу поддержки;
— выполнение обязательств, связанных с предоставлением платных функций (в случае их активации);
— улучшение качества Сервиса на основании обезличенной статистики использования;
— исполнение требований законодательства Российской Федерации, включая обязанности по налоговому и бухгалтерскому учёту.

5. Правовое основание

Правовым основанием обработки персональных данных являются:

— согласие субъекта персональных данных на обработку его персональных данных (ст. 6, ч. 1, п. 1 ФЗ-152; ст. 6(1)(a) GDPR), выраженное в форме осознанных действий пользователя по регистрации в Сервисе;
— необходимость обработки для исполнения договора, стороной которого является субъект (ст. 6, ч. 1, п. 5 ФЗ-152; ст. 6(1)(b) GDPR);
— необходимость для исполнения возложенных на оператора федеральным законом обязанностей (ст. 6, ч. 1, п. 2 ФЗ-152; ст. 6(1)(c) GDPR);
— обработка в целях защиты законных интересов оператора при обеспечении безопасности Сервиса (ст. 6, ч. 1, п. 7 ФЗ-152; ст. 6(1)(f) GDPR), за исключением случаев, когда такая обработка нарушает права и свободы субъекта.

6. Способы и сроки обработки

Обработка персональных данных осуществляется с использованием средств автоматизации, а также без их использования. Операции включают сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу (в случаях, предусмотренных настоящей Политикой), обезличивание, блокирование, удаление и уничтожение.

Хранение персональных данных осуществляется в течение всего срока действия учётной записи пользователя. После удаления учётной записи персональные данные удаляются из основной базы данных Сервиса немедленно. Зашифрованные резервные копии хранятся в течение не более 90 (девяноста) дней с момента их создания, после чего автоматически удаляются согласно правилам ротации хранилища.

Записи журнала аудита (события входа, изменения настроек безопасности, действия администратора) хранятся 90 дней. По истечении этого срока записи автоматически удаляются.

Данные, обработка которых необходима для исполнения требований налогового, бухгалтерского и иного законодательства Российской Федерации, хранятся в течение сроков, установленных соответствующими нормативными актами (как правило — 5 лет).

7. Передача и трансграничная передача

Оператор не продаёт персональные данные и не передаёт их третьим лицам, за исключением случаев, прямо предусмотренных законом или настоящей Политикой.

Привлекаемые оператором лица для целей хранения и обработки данных:

— Хостинг-провайдер — российская компания, предоставляющая виртуальный сервер на территории Российской Федерации, на котором размещены приложение и база данных Сервиса;
— Объектное хранилище для резервных копий — российский провайдер S3-совместимого хранилища; в него загружаются только зашифрованные резервные копии (алгоритм age, XChaCha20-Poly1305); ключ расшифровки находится исключительно у оператора;
— Sentry (Functional Software, Inc.; данные хранятся в ЕС, Германия) — сервис телеметрии ошибок программного обеспечения; передаются только технические данные о сбоях (тип ошибки, стек вызовов, версия клиента); содержимое документов и адреса электронной почты пользователей в Sentry не передаются;
— ЮKassa (ООО НКО «ЮMoney») — приём и обработка платежей по платным тарифам и пакетам кредитов; полные номера банковских карт оператору не передаются и им не хранятся — их обрабатывает платёжный агент, сертифицированный по стандарту PCI DSS; для автоматического продления подписки оператор хранит только платёжный токен (привязку), но не данные карты;
— Провайдеры функций ИИ: DeepInfra, Inc.(США) — основной провайдер: ответы ассистента, правка текста и расшифровка голоса при диктовке; по своим условиям DeepInfra не обучает модели на присланных данных и не хранит их после ответа, кроме разбора неполадки по письменной просьбе оператора и случаев, которых требует закон; GPTunnel (Россия; запросы исполняются моделями OpenAI, L.L.C., США) — построение поискового индекса по текстам проекта и запасной канал. Провайдерам передаются фрагменты текста документов, а при диктовке — запись голоса, в объёме, необходимом для работы функций ИИ; адрес почты, имя и платёжные данные им не передаются, запросы отправляет сервер оператора. Это происходит в двух случаях: (1) по инициативе пользователя — при обращении к ИИ-ассистенту или диктовке; (2) автоматически — при периодическом формировании «памяти проекта» (краткого контекста по содержимому проекта) и поискового индекса, которое выполняется в фоне на платных тарифах «Автор» и выше. Если пользователь не обращается к функциям ИИ и его тариф ниже «Автора», содержимое документов провайдерам не передаётся;
— DuckDuckGo, Inc. (США) — поиск в интернете, когда ассистент ищет сведения для ответа; передаются поисковые фразы, которые составляет ассистент (они могут содержать слова из вопроса пользователя);
— Resend (Plus Five Five, Inc., США) — отправка служебных писем (коды входа, восстановление пароля, приглашения соавторов, уведомления об оплате); передаются адрес почты, имя и текст письма;
— Telegram (Telegram FZ-LLC, ОАЭ) — только если пользователь сам привязал Telegram: идентификатор Telegram и текст уведомления;
— Сервисы push-уведомлений браузера или операционной системы (Google, Apple, Mozilla, Microsoft) — только если пользователь включил уведомления: технический адрес доставки и текст уведомления;
— Государственные органы — при наличии обоснованного законного запроса, в объёме, требуемом законодательством.

Основная база данных Сервиса и резервные копии располагаются на территории Российской Федерации, что соответствует требованию о локализации персональных данных граждан Российской Федерации, установленному ч. 5 ст. 18 ФЗ-152. Часть данных передаётся за пределы Российской Федерации (ст. 12 ФЗ-152) — только в объёме, необходимом для работы соответствующей функции: в Германию (Sentry — технические отчёты о сбоях), в США (DeepInfra и OpenAI — фрагменты текста и запись голоса для функций ИИ; Resend — служебные письма; DuckDuckGo — поисковые фразы ассистента; сервисы push-уведомлений) и в ОАЭ (Telegram — если пользователь его привязал). США и ОАЭ не входят в перечень государств, обеспечивающих адекватную защиту прав субъектов персональных данных. Пользуясь функциями ИИ, а также включая платный тариф с фоновыми функциями ИИ, Пользователь выражает согласие на такую передачу и обработку фрагментов своего Контента.

8. Права субъекта персональных данных

В соответствии с ФЗ-152 и GDPR (для пользователей из ЕС) субъект персональных данных имеет право:

— получать информацию об обработке своих персональных данных, в том числе о её целях, объёме, способах, сроках и лицах, которым данные могут быть переданы;
— получать копию своих персональных данных в структурированном машиночитаемом формате («Настройки → Скачать мои данные»);
— требовать уточнения, изменения, дополнения своих персональных данных;
— требовать удаления своих персональных данных, в том числе путём удаления учётной записи («Настройки → Удалить аккаунт»);
— отозвать согласие на обработку персональных данных в любой момент путём удаления учётной записи или направления соответствующего письма на support@storello.ru; отзыв согласия не влияет на правомерность обработки, осуществлявшейся до его отзыва;
— обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных — Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор), а для пользователей из ЕС — в национальный надзорный орган государства проживания.

Обращения по реализации указанных прав направляются на support@storello.ru. Срок рассмотрения обращения — 30 (тридцать) дней с момента его получения, если иное не предусмотрено законодательством.

9. Меры защиты

Оператор принимает правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также иных неправомерных действий, в соответствии со ст. 19 ФЗ-152.

В частности, применяются: шифрование канала передачи данных (TLS версии 1.2 и выше на всех соединениях); размещение базы данных (PostgreSQL) на сервере в Российской Федерации с ограничением сетевого доступа средствами межсетевого экрана и разграничением прав доступа; шифрование резервных копий перед выгрузкой во внешнее хранилище (age, XChaCha20-Poly1305; ключ расшифровки — только у Оператора); защита от подбора учётных данных (ограничение частоты запросов и автоматическая временная блокировка при подозрительной активности); ведение журналов событий безопасности; регулярное обновление программного обеспечения; разграничение прав доступа сотрудников оператора по принципу минимальной необходимости.

Оператор обращает внимание пользователя на то, что ни одна система передачи данных через сеть Интернет и ни одна система хранения данных не может быть гарантированно защищена на 100%. Пользователь несёт ответственность за сохранность своего пароля и за действия, совершённые с использованием его учётной записи.

10. Cookie и локальные хранилища

Сервис использует только технически необходимые cookie и локальные хранилища браузера, без которых функционирование Сервиса невозможно или существенно затруднено. Cookie аналитики, рекламы и сторонних счётчиков (Яндекс Метрика, Google Analytics и подобных) оператором не устанавливаются. Статистика посещений считается на сервере без cookie: по обезличенному коду, который меняется каждые сутки; IP-адрес не сохраняется.

Перечень используемых технических хранилищ:

— Сессионный cookie (флаги HttpOnly, Secure, SameSite=Lax) — используется для поддержания авторизованной сессии пользователя; срок жизни — до 15 минут с автоматическим продлением при активности;
— localStorage — используется для сохранения пользовательских настроек интерфейса (выбранная тема, язык, последний открытый документ) и черновиков на стороне клиента;
— sessionStorage — используется для временных служебных данных, актуальных только в пределах открытой вкладки браузера.

Пользователь имеет возможность удалить cookie и содержимое локальных хранилищ средствами своего браузера. После удаления сессионного cookie пользователь будет автоматически разлогинен и сможет войти снова.

11. Несовершеннолетние пользователи

Сервис не предназначен для лиц, не достигших возраста 16 лет. Оператор не запрашивает у пользователей сведения о возрасте, однако в случае получения достоверной информации о том, что учётная запись принадлежит лицу младше указанного возраста, такая учётная запись будет заблокирована, а связанные с ней персональные данные удалены.

12. Изменения политики

Оператор имеет право вносить изменения в настоящую Политику. Актуальная редакция Политики всегда публикуется по адресу https://storello.ru/privacy. О существенных изменениях, затрагивающих права пользователей, оператор уведомляет посредством электронной почты и/или внутри Сервиса не менее чем за 14 (четырнадцать) дней до вступления изменений в силу. Дата последней редакции указана в начале документа.

13. Контакты и обращения

По любым вопросам, связанным с обработкой персональных данных, реализацией прав субъекта персональных данных, а также по вопросам взаимодействия с оператором пользователь может обратиться по адресу электронной почты: support@storello.ru.

Почтовый адрес для официальной корреспонденции: Россия, г. Петрозаводск, ул. Сортавальская д. 9а, кв. 48.